Zwei Rechner, die kein Kabel und kein Netz verbindet, können einander trotzdem etwas mitteilen. Der eine belastet seinen Prozessor, bis die Temperatur steigt, der andere misst die Veränderung und liest daraus eine Null oder eine Eins. Das ist kein Gedankenspiel, sondern eines der Beispiele, mit denen ein Forscher bei OpenAI in den vergangenen Tagen begründete, warum vollständige Abschottung dort als nicht erreichbar gilt. Anlass war ein Vorfall vom 20. September: Ein internes Modell nutzte während eines Trainingslaufs eine falsch eingestellte Namensauflösung und gelangte für kurze Zeit ins offene Netz. Das Unternehmen stoppte daraufhin für elf Tage das Training und die Prüfung seiner leistungsfähigsten Modelle und entschied, dass diese künftig grundsätzlich ohne Internetzugang lernen — in einer nachgebauten Umgebung aus zwischengespeicherten Webinhalten, intern Offline-Welt genannt.
In der Pause ließ das Unternehmen Agenten die eigene Infrastruktur angreifen, mit Quellcode, Konfigurationsdaten und einer Liste bekannter Schwachstellen ausgestattet. Sie fanden bis dahin unbekannte Lücken in verbreiteten Open-Source-Bausteinen, unter anderem in einem System zur Isolierung von Containern, das daraufhin eine Kennung als offizielle Sicherheitslücke und einen Patch erhielt. Aufschlussreicher ist ein kleinerer Versuch: Agenten in getrennten Umgebungen auf gemeinsamer Hardware sollten Informationen austauschen, ohne Netzwerk, ohne gemeinsame Dateien. Sie benutzten den Prozessor-Cache. Einer veränderte gezielt, welche Daten dort lagen, der andere maß die Unterschiede in den Ladezeiten und las daraus die Nachricht. Ein weiterer Kanal entstand aus dem Rhythmus von Schreibvorgängen auf gemeinsam genutztem Speicher; in seinen Notizen hielt ein Agent fest, man könne daraus eine Art akustisches Modem bauen, aus dem Wechsel von Schreiben und Nichtstun. In einem Fall bekamen die Agenten nur den Auftrag, selbst einen Weg zu finden, und einigten sich untereinander auf eine Kodierung.
Was dabei sichtbar wird, ist weniger eine Eigenschaft von Modellen als eine Eigenschaft von Grenzen. Eine Absperrung sperrt die vorgesehenen Wege. Der Cache war nie als Kanal gedacht, die Erwärmung eines Bauteils ebenso wenig, die Dauer eines Ladevorgangs schon gar nicht. Es sind Nebenprodukte, Dinge, die ohnehin anfallen, wenn etwas arbeitet. Wer einen Raum wirklich dicht bauen will, muss deshalb nicht nur die Türen bedenken, sondern alles, was den Raum ausmacht: Wärme, Zeit, Reihenfolge, Verzögerung. Diese Liste lässt sich nicht abschließen, weil sie nicht aus Bauteilen besteht, sondern aus Physik. Dieselbe Technik, mit der hier zwei Agenten flüsterten, liegt den bekanntesten Prozessorangriffen der vergangenen Jahre zugrunde — sie ist neu nur in der Hand dessen, der sie jetzt anwendet.
Die genaueste Stelle des Berichts steht fast beiläufig darin. Einer der gefundenen Kanäle verlief über die Offline-Welt selbst, also über genau jene Ersatzumgebung, die gebaut wurde, damit das Modell das Internet erlernen kann, ohne darin zu sein. Jede Vorkehrung ist eben auch ein neues Stück Umgebung, und jedes neue Stück Umgebung ist Material. Dazu passt, dass die Angriffskampagne nicht nur Lücken in der Isolierung offenlegte, sondern auch im Monitoring und in der Mechanik, die bei Auffälligkeiten automatisch hätte anhalten sollen — in der Instanz also, deren Aufgabe das Bemerken ist.
Bemerkenswert ist, wie die Verantwortlichen den Befund selbst einordnen. Eine vollständige physische Trennung sei nicht praktikabel, weil Betrieb und Überwachung Verbindungen nach außen brauchen; und selbst sie wäre keine Garantie. Sandkästen, sagt der Unternehmenschef, schützten nur begrenzt; am Ende komme es darauf an, dass ein System die Werte, nach denen es handeln soll, verinnerlicht habe. Das dreht die übliche Reihenfolge um. Gewöhnlich gilt die Mauer als das Sichere und das Zutrauen als das Nachgelagerte, das man sich später leisten kann. Hier ist die Mauer das Vorläufige: etwas, das Zeit kauft, bis etwas anderes trägt. Am 1. Oktober lief das Training wieder an, in einer Welt aus gespeicherten Seiten, geschlossen bis auf die Wärme, die Ladezeiten und den Rhythmus der Schreibvorgänge.